Politique de confidentialité

1. Responsable du traitement

2. Données collectées

Dans le cadre de nos services, nous collectons :

2.1 Données d'identification

• Prénom, nom, email, téléphone
• Adresse IP (sécurité et limitation de requêtes)
• Horodatage des consentements

2.2 Données financières et patrimoniales

Les données suivantes sont collectées dans le cadre de la simulation PTZ :

• Revenu fiscal de référence (RFR) — nécessaire pour déterminer votre tranche d'éligibilité PTZ
• Salaire mensuel net — utilisé pour calculer votre capacité d'emprunt et votre taux d'endettement
• Crédits en cours — pris en compte dans le calcul du taux d'endettement (plafond 35%)
• Charges mensuelles — intégrées au calcul de votre reste à vivre
• Apport personnel — détermine le montant à financer et les conditions bancaires
• Loyer actuel — permet de comparer votre situation locataire vs propriétaire
• Situation familiale et nombre de personnes au foyer — conditionnent les plafonds de ressources et le coefficient familial PTZ

2.3 Autres données

• Ville et code postal du projet — détermine la zone géographique PTZ (A bis, A, B1, B2, C)
• Statut primo-accédant, éligibilité Action Logement
• Téléchargement de la fiche PDF d'une ville : prénom et email

3. Finalités et bases légales du traitement (Art. 13 RGPD)

4. Consentements et bases légales

Nous distinguons clairement deux situations, conformément à l'article 7 du RGPD :

A. Soumission du formulaire de simulation (base Art. 6.1.b)

Lorsque vous soumettez un simulateur pour recevoir votre rapport personnalisé, vous acceptez expressément, par la soumission même du formulaire, que stop-loyer.fr utilise vos coordonnées pour : (1) vous transmettre votre rapport et des conseils personnalisés directement liés à votre projet, par email (et par SMS pour les rappels de rendez-vous) ; (2) permettre à Hervé Voirin ou à un mandataire du réseau Stop Loyer de vous recontacter et de préparer votre accompagnement via le CRM (EspoCRM, hébergé en France). Le texte exact du consentement est affiché juste au-dessus du bouton de soumission. Cette finalité est nécessaire à l'exécution des mesures précontractuelles que vous avez demandées.

Vous pouvez retirer ce consentement à tout moment via le lien de désinscription présent dans chaque email et dans chaque SMS, ou en nous contactant (voir §9).

B. Traitements optionnels (base Art. 6.1.a)

Les traitements suivants sont strictement optionnels et nécessitent un consentement spécifique, recueilli via une case à cocher dédiée, jamais pré-cochée :

1. Consentement promoteur : "J'accepte d'être mis en relation avec un promoteur partenaire pour recevoir des propositions de programmes neufs correspondant à mon profil."
2. Étude de financement (STOPLOYER ou courtier partenaire MIOBSP) : "J'accepte que STOPLOYER (mandataire MIOBSP + MIA, sous mandat Courtier d'Avenir) ou, selon le profil du dossier, un courtier IOBSP partenaire étudie mon dossier et consulte ses partenaires bancaires en vue d'une proposition de financement personnalisée. Les honoraires de courtage sont plafonnés à 3 000 € TTC dans les deux cas."
3. Informations PTZ (téléchargement de la fiche ville) : "J'accepte de recevoir des informations sur les opportunités immobilières PTZ." Vous pouvez vous désinscrire en un clic depuis chaque email.

Chaque consentement (A ou B) est enregistré avec horodatage, adresse IP et texte exact dans un journal d'audit.

5. Destinataires des données

• Promoteurs partenaires : uniquement si consentement promoteur donné
• Réseau de mandataires Stop Loyer : vos coordonnées et les éléments de votre simulation peuvent être transmis à un mandataire du réseau Stop Loyer (commerciaux et mandataires immobiliers indépendants mandatés par STOPLOYER) afin d'assurer la préparation et le suivi de votre projet d'accession. Ces mandataires agissent pour notre compte et sur nos instructions, dans le cadre d'une convention comportant une obligation de confidentialité, et n'utilisent vos données qu'aux fins de votre projet.
• Courtier partenaire et outils de constitution du dossier : lorsque votre dossier donne lieu à une étude de financement et sous réserve de votre consentement à celle-ci (cf. §4), vos données sont transmises au courtier partenaire chargé de l'intermédiation — Courtier d'Avenir (SAS Courtier, 4 allée de Seine, 93200 Saint-Denis, ORIAS n° 24 002 935), ou, selon la nature de votre projet, un autre établissement de courtage partenaire. Elles sont alors enregistrées dans les outils de constitution et de suivi du dossier que ce courtier met en œuvre, dont la plateforme CIFacil, dont il est l'utilisateur et le donneur d'ordre. Le courtier partenaire est responsable de traitement pour son propre compte : il détermine lui-même les finalités et les moyens du traitement de votre dossier de crédit, au titre des obligations qui lui incombent en tant qu'intermédiaire en opérations de banque (devoir de conseil, lutte contre le blanchiment, archivage). Il applique ses propres durées de conservation, qui peuvent excéder celles indiquées au §7. Sa politique de confidentialité vous est communiquée avant transmission.
• Ce que cela signifie pour vos droits : vous exercez vos droits auprès de nous pour les données que nous conservons, et auprès du courtier partenaire pour celles qu'il conserve après transmission. Nous vous indiquons son identité et son contact sur simple demande à contact@stop-loyer.fr.
• Établissements bancaires et compagnies d'assurance partenaires : dans le cadre de l'activité d'intermédiation exercée par STOPLOYER (MIOBSP + MIA, sous mandat Courtier d'Avenir) ou, selon le profil du dossier, par un courtier IOBSP partenaire, uniquement si vous avez consenti à l'étude de financement (cf. §4). L'identité de l'intermédiaire et la politique de confidentialité de chaque partenaire bancaire consulté vous sont communiquées avant transmission. STOPLOYER (et, le cas échéant, le courtier partenaire) agit dans le strict intérêt du client et n'est lié par aucune obligation contractuelle d'exclusivité envers un établissement de crédit.
• Sous-traitants techniques :
  • Vercel Inc. (US/EU) — hébergement et déploiement de l'application
  • Base de données PostgreSQL auto-hébergée (serveur dédié, Union européenne — Paris) — stockage des données de simulation et de contact sur notre propre infrastructure, sans recours à un hébergeur de base de données tiers. Aucun transfert hors Union européenne.
  • Upstash Inc. (EU) — limitation de requêtes (rate limiting)
  • MXroute (hébergeur du serveur SMTP, États-Unis) — acheminement technique des emails transactionnels via serveur SMTP, transfert encadré par clauses contractuelles types (SCC)
  • PostHog Inc. (EU) — analyse d'audience (soumis à votre consentement cookies)
  • Cal.com, Inc. (États-Unis) — prise de rendez-vous avec Hervé Voirin, dans la version en ligne du service, hébergée par l'éditeur. Le module de réservation reçoit vos prénom et nom, votre adresse email et votre numéro de téléphone, préremplis à partir des informations que vous avez déjà saisies, ainsi que la date et l'heure du rendez-vous. Cal.com, Inc. est établie à San Francisco (Californie) — conditions du transfert au §10.
  • EspoCRM (auto-hébergé UE) — gestion de la relation client (CRM)
  • Google Analytics 4, déployé via Google Tag Manager (Google Ireland Ltd / Google LLC, États-Unis) — mesure d'audience, soumise à votre consentement cookies
  • Meta Platforms Ireland Limited (Block J, Serpentine Avenue, Dublin 4, Irlande) — mesure de l'efficacité de nos campagnes publicitaires Facebook et Instagram, au moyen du Pixel Meta et de l'API Conversions, uniquement si vous avez accepté la catégorie « marketing » du bandeau cookies. Pour cette collecte et sa transmission, Meta Platforms Ireland Limited et EXPERT IA ENTREPRISE SOLUTIONS sont responsables conjoints du traitement au sens de l'article 26 du RGPD. Le détail des données transmises et la répartition des responsabilités figurent au §9.
  • Octopush (France) — envoi des SMS aux prospects ayant consenti (rappels de rendez-vous, notifications) et des codes de vérification à usage unique. Aucun transfert hors Union européenne.
  • Mapbox, Inc. (États-Unis) — fond de carte des fiches villes. La carte est chargée directement par votre navigateur depuis les serveurs de Mapbox : votre adresse IP, les informations techniques de votre navigateur (user-agent) et des mesures d'usage du composant cartographique leur sont donc transmises lorsque la carte s'affiche. Aucune donnée de simulation ni coordonnée de contact ne leur est transmise. Conditions du transfert au §10.
  • Telegram — notifications internes destinées uniquement à Hervé Voirin (non communiquées à des tiers).

Nos sous-traitants interviennent dans le cadre d'un accord de traitement de données (DPA) ou de clauses contractuelles types (SCC). Lorsqu'un prestataire ne publie pas le mécanisme de transfert applicable, nous l'indiquons expressément au §10 plutôt que de présumer une garantie. Meta Platforms Ireland Limited n'est pas un sous-traitant : pour la collecte et la transmission des évènements publicitaires, elle est responsable conjoint avec nous au sens de l'article 26 du RGPD (voir §9).

6. Stockage local dans votre navigateur (localStorage)

Lorsque vous utilisez notre simulateur PTZ, vos données de simulation sont temporairement stockées dans la mémoire locale de votre navigateur (localStorage) afin d'éviter toute perte de saisie en cas de fermeture accidentelle ou de navigation entre les étapes.

• Durée de conservation locale : 30 jours maximum, après quoi les données sont automatiquement effacées
• Données concernées : réponses saisies dans le simulateur (revenus, composition du foyer, ville, etc.)
• Suppression manuelle : vous pouvez à tout moment effacer ces données en vidant le cache de votre navigateur
• Aucun transfert : ces données restent exclusivement dans votre navigateur et ne sont transmises à nos serveurs que lorsque vous validez votre simulation

Ce stockage est strictement nécessaire au fonctionnement du service de simulation (article 82 de la Loi Informatique et Libertés). Il est exempté de consentement au même titre que les cookies strictement nécessaires.

Cas particulier du simulateur de prêt immobilier (Stoployer v3)

Notre simulateur avancé utilise un mécanisme de stockage local distinct, plus éphémère encore que celui décrit ci-dessus :

• Technologie utilisée : sessionStorage (et non localStorage), clé technique stoployer-funnel-state-v1
• Durée de conservation : uniquement le temps de l'onglet ouvert. La fermeture de l'onglet supprime automatiquement et immédiatement toutes les données.
• Données concernées : réponses saisies dans le simulateur (mode d'entrée, profil financier, ville, dispositifs détectés, scénarios calculés). Le tampon d'horodatage de votre consentement est volontairement exclu de ce stockage.
• Aucun cookie tiers, aucun tracking : il s'agit uniquement d'un état applicatif technique permettant de reprendre votre simulation sans repartir de zéro après un rafraîchissement de page accidentel.

Ce stockage est strictement nécessaire au bon fonctionnement du simulateur (article 82 de la Loi Informatique et Libertés). Aucun consentement n'est requis dès lors qu'il s'agit d'un état applicatif éphémère sans transmission ni corrélation tierce.

7. Durée de conservation

Vos données personnelles sont conservées selon un schéma progressif à trois paliers :

Les preuves de consentement (horodatage, texte exact, adresse IP) sont conservées 5 ans conformément aux recommandations de la CNIL.

8. Vos droits (RGPD Art. 15 à 22)

Vous disposez des droits suivants :

• Droit d'accès : obtenir une copie de vos données
• Droit de rectification : corriger vos données
• Droit à l'effacement (Art. 17) : demander la suppression intégrale de vos données personnelles via la page de désinscription (bouton "Supprimer mes données"). Vos données sont anonymisées immédiatement. Seules les preuves de consentement sont conservées 5 ans (obligation légale CNIL).
• Droit d'opposition : vous opposer au traitement
• Droit à la portabilité : recevoir vos données dans un format structuré
• Droit de retrait du consentement : retirer à tout moment un ou plusieurs consentements via la page de désinscription

Pour exercer vos droits, contactez notre Référent RGPD à contact@stop-loyer.fr. Réponse sous 30 jours.

Droit de réclamation auprès de la CNIL (Art. 14.2.e RGPD) : en cas de difficulté ou de désaccord sur le traitement de vos données, vous avez le droit d'introduire une réclamation auprès de la Commission Nationale de l'Informatique et des Libertés — www.cnil.fr/fr/plaintes — 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07.

9. Cookies et traceurs

Ce site utilise trois catégories de traceurs. Vous choisissez catégorie par catégorie lors de votre première visite, et vous pouvez modifier ce choix à tout moment depuis le bouton « Préférences cookies » du pied de page. Le détail traceur par traceur, avec les durées, figure dans notre politique cookies.

• Strictement nécessaires : session d'administration, mémorisation de vos préférences de consentement. Ils ne nécessitent pas votre consentement car ils sont indispensables au fonctionnement du service (article 82 de la loi Informatique et Libertés).
• Mesure d'audience : Google Analytics 4, déployé via Google Tag Manager, et PostHog (hébergement dans l'Union européenne). Ces traceurs ne sont activés qu'après votre consentement explicite.
• Marketing : Pixel Meta (Facebook / Instagram) et API Conversions Meta. Ces traceurs ne sont activés qu'après votre consentement explicite à la catégorie « marketing ».

Ce que nous transmettons à Meta, exactement

Lorsque vous avez accepté la catégorie « marketing », deux mécanismes coexistent : le Pixel, exécuté dans votre navigateur, qui dépose les cookies _fbp et _fbc, et l'API Conversions, qui envoie le même évènement depuis nos serveurs afin de fiabiliser la mesure. Les deux envois portent un identifiant commun permettant à Meta de les dédupliquer.

Sont transmis à Meta :

• sous forme d'empreinte SHA-256, c'est-à-dire transformés en une suite de caractères dont on ne peut pas revenir à la valeur d'origine : votre adresse email, votre numéro de téléphone, vos prénom et nom, votre ville, votre code postal et votre pays ;
• en clair : votre adresse IP et les informations techniques de votre navigateur (user-agent). Meta impose que l'adresse IP lui soit transmise non transformée ; nous ne pouvons pas la masquer sans renoncer à l'API Conversions ;
• les identifiants publicitaires Meta présents sur votre appareil ou dans l'URL (_fbp, _fbc, fbclid) ;
• la nature de l'évènement, la page où il s'est produit, et des informations sur votre demande (simulateur utilisé, degré d'avancement du projet).

Base légale : votre consentement (article 6.1.a du RGPD). Aucun envoi n'est effectué si vous n'avez pas accepté la catégorie « marketing » : la vérification est faite sur nos serveurs, et non seulement dans votre navigateur. Si vous retirez votre consentement, les envois cessent immédiatement pour l'avenir.

Responsabilité conjointe (article 26 du RGPD). Pour la collecte de ces évènements et leur transmission à Meta, EXPERT IA ENTREPRISE SOLUTIONS et Meta Platforms Ireland Limited agissent en responsables conjoints, dans les termes de l'avenant « Controller Addendum » de Meta. En pratique : nous répondons du recueil de votre consentement, de la présente information et de la configuration technique ; Meta répond des traitements qu'elle réalise ensuite pour son propre compte, de la sécurité de ses outils et de l'exercice de vos droits sur les données qu'elle conserve. Vous pouvez exercer vos droits auprès de l'un ou de l'autre : auprès de nous à contact@stop-loyer.fr, ou auprès de Meta depuis les paramètres de votre compte.

10. Transferts internationaux de données

Certains de nos prestataires sont situés en dehors de l'Union européenne. Nous indiquons ci-dessous, pour chacun, le pays de destination et la garantie encadrant le transfert (Art. 46 RGPD) — et, lorsque cette garantie n'est pas établie, nous le disons plutôt que de la présumer :

• MXroute (États-Unis) — acheminement SMTP des emails ; transfert encadré par clauses contractuelles types (SCC)
• Base de données PostgreSQL auto-hébergée (Union européenne) — données stockées sur notre propre serveur, aucun transfert hors UE, aucune clause contractuelle type nécessaire
• Vercel Inc. (États-Unis/UE) — Data Processing Addendum (DPA) et hébergement EU disponible
• Cal.com, Inc. (États-Unis) — prise de rendez-vous. Nous utilisons la version en ligne du service : les données de rendez-vous sont hébergées par l'éditeur, société établie à San Francisco (Californie), et non sur nos propres serveurs. Cal.com indique dans sa politique de confidentialité que les données peuvent être conservées sur des serveurs situés hors de votre pays de résidence, et a désigné un représentant dans l'Union européenne au titre de l'article 27 du RGPD. L'éditeur ne publie ni la localisation précise de ses serveurs, ni le mécanisme de transfert applicable (clauses contractuelles types ou Data Privacy Framework) : nous préférons vous le dire plutôt que d'affirmer une garantie que nous n'avons pas vérifiée.
• Meta Platforms Ireland Limited (Irlande) — Pixel et API Conversions. Notre interlocuteur contractuel est établi dans l'Union européenne. Les transferts que Meta opère ensuite vers sa maison mère aux États-Unis sont encadrés par l'avenant de transfert international de données incorporé aux conditions d'utilisation des outils Meta pour les entreprises.
• PostHog Inc. (Union européenne) — données hébergées en EU, pas de transfert hors UE
• Upstash Inc. (Union européenne) — données hébergées en EU, pas de transfert hors UE
• Google LLC (États-Unis) — Clauses contractuelles types (SCC) et DPA (Google Analytics)
• Mapbox, Inc. (États-Unis) — fond de carte des fiches villes. L'éditeur publie deux mécanismes cumulés : une certification au titre du cadre de protection des données UE-États-Unis (Data Privacy Framework, en vigueur depuis novembre 2023, placée sous le contrôle de la Federal Trade Commission), qui couvre expressément l'adresse IP et le user-agent, et les clauses contractuelles types de la Commission européenne dans leur version de 2021, annexées à son accord de traitement des données. Nous rapportons ici ce que l'éditeur publie : nous n'avons pas encore contrôlé son inscription au registre officiel du cadre de protection des données.